Comment voir quelles données une app d’enregistrement vocal envoie sur iPhone

Deux questions différentes se retrouvent traitées comme une seule. « Cette app a-t-elle accès au micro » est une question de permission — un interrupteur activé une fois, visible dans Réglages à tout moment. « Cette app envoie-t-elle quelque chose quelque part » est une question distincte, sur le comportement, et un écran de permission n'y répond pas. Une app peut détenir une permission pendant des années sans jamais s'en servir, ou la détenir et l'utiliser en continu. Le Rapport de confidentialité des apps est la partie d'iOS conçue pour répondre à la seconde question avec quelque chose qui ressemble davantage à une preuve qu'à une déclaration.

Ce qu’est vraiment le Rapport de confidentialité des apps

C'est un relevé glissant, intégré à iOS depuis 2021, de deux choses par app : quelles catégories de données sensibles elle a consultées — micro, position, contacts, photos et le reste — et quels domaines réseau elle a contactés en le faisant. Rien n'est spécifique à une app ou à un développeur en particulier ; c'est Apple qui observe chaque app du téléphone de la même façon et qui garde le résultat pour que vous le lisiez, pas pour quelqu'un d'autre.

Il est désactivé par défaut et doit être activé une fois. À partir de là, il couvre sept jours glissants, donc il ne dit rien de la semaine précédant son activation : c'est un outil tourné vers l'avenir, pas un audit du passé.

L’activer

• Ouvrez Réglages → Confidentialité et sécurité → Rapport de confidentialité des apps.
• Touchez Activer le rapport de confidentialité des apps.
• Utilisez le téléphone normalement, y compris l’app que vous voulez vérifier, pendant quelques minutes au moins et idéalement quelques jours.
• Revenez sur cet écran pour lire ce qui s’est accumulé.

C'est toute la configuration. Rien n'exige que l'app examinée coopère, puisque c'est le système d'exploitation qui observe, pas l'app qui témoigne d'elle-même.

Lire la fiche d’une app

Touchez une app dans la liste : deux sections comptent surtout. Accès aux données et capteurs montre quelles catégories elle a lues — micro, position, et le reste — et à peu près quand, à chaque fois. Activité réseau de l'app est la plus révélatrice : tous les domaines que cette app a contactés, nommés, avec l'horodatage du contact le plus récent. Qu'une app d'enregistrement affiche une entrée micro à chaque enregistrement est attendu et sans intérêt. Que la liste d'activité réseau de cette même app contienne un domaine que vous ne reconnaissez pas, à un moment qui coïncide avec quelque chose que vous y avez fait, mérite un second regard.

Une troisième liste vaut la peine d'être connue aussi : Domaines les plus contactés, qui classe à travers toutes les apps du téléphone plutôt qu'une par une. C'est une bonne façon de repérer un domaine qui revient sans cesse sous plusieurs apps sans rapport entre elles, ce qui signale en général un service d'analytique ou de publicité partagé plutôt que quelque chose de propre à un seul développeur.

Ce qui est normal et ce qui mérite d’être questionné

Le contexte fait presque tout le travail ici. Un domaine se terminant en apple.com ou icloud.com à côté d'une app liée à Speech, c'est l'infrastructure d'Apple elle-même, pas un tiers — la dictée et la reconnaissance vocale côté serveur sont toujours passées par les serveurs d'Apple, pour toute app utilisant les frameworks du système, y compris les apps d'Apple elle-même. Un domaine que vous ne reconnaissez pas, surtout s'il évoque un service d'analytique ou de publicité plutôt que le nom de l'éditeur de l'app, est l'entrée qui mérite d'être cherchée avant de conclure quoi que ce soit, en bien ou en mal. Tout domaine inconnu n'est pas un problème — beaucoup sont des outils de rapport de plantage ou des réseaux de diffusion de contenu qui font un travail limité et peu spectaculaire — mais « je ne reconnais pas ceci et l'app n'a jamais expliqué pourquoi c'est là » est exactement la situation que ce rapport existe pour révéler.

Ce qu’il peut vous dire, et ce qu’il ne peut pas

Il enregistre qu'une connexion vers un domaine a eu lieu, pas le contenu de ce qui a été envoyé. Il ne peut pas vous dire si ce qui a été transmis était un enregistrement complet, un simple signal de diagnostic, ou rien de plus qu'une vérification de version. Ce qu'il vous donne à la place est plus étroit et néanmoins utile : la preuve qu'une connexion a eu lieu, vers où, et à peu près quand. Pour une app qui affirme un comportement précis — « rien ne quitte votre téléphone », « la transcription est toujours locale » —, la présence ou l'absence d'activité réseau pour cette fonction précise est un fait vérifiable, pas une affirmation à croire sur parole.

Il ne capte rien non plus d'avant son activation, et il n'enregistre que ce qui s'est produit pendant que vous utilisiez réellement l'app durant la période couverte. Le consulter juste après avoir installé quelque chose, et ne rien y voir, indique surtout que vous n'avez pas encore utilisé l'app.

Un complément au test en mode Avion, pas un remplacement

Il existe un test plus immédiat pour une question précise — cette transcription en particulier a-t-elle utilisé le réseau — et il n'exige rien d'activer à l'avance : passez en mode Avion, lancez la transcription, et voyez si du texte revient. S'il revient, rien n'a pu être envoyé, puisqu'aucune connexion n'était disponible pour l'envoyer. Ce test est détaillé dans le guide compagnon sur la transcription locale ou dans le cloud. Les deux méthodes répondent à des questions légèrement différentes : le mode Avion prouve qu'une tentative précise est restée locale ; le Rapport de confidentialité des apps vous donne un relevé permanent et cumulatif sans que vous ayez à penser à tester quoi que ce soit, et il couvre tout type d'activité réseau d'une app, pas seulement la transcription.

Comment Voice Studio gère cela

Voice Studio n'a ni compte, ni serveur qui lui soit propre, ni SDK d'analytique, donc rien n'est acheminé vers une infrastructure qui nous appartiendrait pour commencer : consulter sa fiche dans le Rapport de confidentialité des apps ne fera apparaître aucun domaine à notre nom, parce qu'aucun n'existe. Le seul endroit où un domaine peut apparaître est le service vocal d'Apple lui-même, et seulement sur les enregistrements où la tentative de transcription locale est revenue vide ou a échoué, et où l'app a réessayé avec la reconnaissance sur l'appareil désactivée. C'est le même repli que celui décrit dans le guide sur la transcription locale ou dans le cloud, et c'est exactement le genre d'affirmation que ce rapport est fait pour vous laisser vérifier plutôt que croire sur parole : activez-le, transcrivez quelques éléments sur quelques jours, et regardez par vous-même ce qui apparaît.

Questions fréquentes

Le Rapport de confidentialité des apps fonctionne-t-il rétroactivement, pour avant son activation ?

Non. Il n'enregistre l'activité qu'à partir du moment où vous l'activez, et couvre sept jours glissants à partir de là. Il ne dit rien de ce qui s'est passé avant son activation.

Si une app n’affiche aucune activité réseau, cela prouve-t-il qu’elle n’a rien envoyé ?

Seulement pour la période où vous l'avez réellement utilisée avec le rapport activé. Si vous n'avez pas ouvert l'app pendant cette fenêtre, une liste vide signifie juste qu'elle n'a pas été utilisée, pas qu'elle a été testée et validée.

Que faire si je vois un domaine que je ne reconnais pas ?

Cherchez le nom du domaine avant de supposer le pire. Beaucoup de domaines inconnus se révèlent être des outils de rapport de plantage ou des réseaux de diffusion de contenu au rôle limité et peu spectaculaire. Le Rapport de confidentialité des apps vous dit qu'une connexion a eu lieu ; il ne vous dit pas ce qu'elle contenait.

Voice Studio affiche-t-il un jour son propre domaine dans le Rapport de confidentialité des apps ?

Non. Voice Studio n'a ni compte, ni serveur qui lui soit propre, ni SDK d'analytique. Le seul domaine pouvant apparaître appartient au service vocal d'Apple, et seulement quand la tentative de transcription locale a échoué et que l'app a réessayé avec la reconnaissance sur l'appareil désactivée.